Azure AD で FIDO キーでサインインする1 (設定有効化～ブラウザ サインイン)

ついにパブリックプレビューが公開されました。
以下に設定方法が公開されていますが、まだ英語版しかないので、作業メモがてら手順を公開します。
[Enable passwordless sign in for Azure AD (preview)](https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-authentication-passwordless-enable)

なお、今回のセキュリティキーは[Yubikey](https://www.amazon.co.jp/Yubico-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%AD%E3%83%BC-FIDO2-USB-2%E6%AE%B5%E9%9A%8E%E8%AA%8D%E8%A8%BC/dp/B07BYSB7FK/ref=asc_df_B07BYSB7FK/?tag=jpgo-22&linkCode=df0&hvadid=275179827080&hvpos=1o1&hvnetw=g&hvrand=5294788644943485545&hvpone=&hvptwo=&hvqmt=&hvdev=c&hvdvcmdl=&hvlocint=&hvlocphy=1009333&hvtargid=pla-650379948392&psc=1)を利用しています。

#STEP1: Azure AD テナントで FIDO 設定を有効化する
まずは Azure AD テナント側で FIDO キーを利用できるように設定する必要があります

## 1. Azure ポータルにサインインする
Azure ポータルにサインインします
https://portal.azure.com/

## 2. ユーザー設定からプレビュー機能の利用を許可する
まずは、ユーザーにプレビュー機能の利用を許可する必要があります。
ポータルにサインインしたら以下をたどります。

**[Azure Active Directory]**
 ->**[Manage]**
  ->**[User Settings]**

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/ce9ab2e2-bf49-cd8e-2ab3-5a9d513ccc4b.png)

それから、ユーザー設定の下の方にある **Manage User feature preview settings** をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/b57845ef-a479-a6de-73f8-9bfd50ead5b0.png)

**Users can use preview features for registering and managing security info – enhanced** を構成します。
全員対象でよければ **[All]** を一部のユーザーのみ許可する場合は **[Selected]** から対象とするグループを指定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/70d230fa-f1c3-eac5-4065-d219e2f2ca63.png)

## 3. FIDO ポリシーを有効化する
次に FIDO ポリシーを有効化します。Azure ポータルから以下をたどります
**[Azure Active Directory]**
 ->**[Securiy]**
  ->**[Authentication methods]**

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/28462606-9e58-0381-e6a6-0ed84aad0c73.png)

そのあと、**Authentication method policy (Preview)**  から **FIDO2 Security Policy** を選択すると画面下部に詳細設定が表示されます。
細かい設定がいろいろとありますが、とりあえず利用するために **[ENABLE]** を **Yes** に、**[TARGET]** に対象とするユーザーを指定します。設定が終わったら **[SAVE]** します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/a6217477-4f4a-1359-ada1-fed7bb8c0f7f.png)

#STEP2: 対象ユーザーで FIDO キーを登録する
今度はユーザー側で FIDO キーを登録します。これ以降の作業は Edge が対応ブラウザのようなので、現状 Edge を利用してください(2019/07/14現在)
他の FIDO / WebAuthn 対応ブラウザでも早く作業可能になってほしい。

また、InPrivate モードで作業すると途中で失敗するので注意。

## 1 対象ユーザーでマイプロファイルにアクセスします。
以下から直接アクセスできます
https://myprofile.microsoft.com

## 2. セキュリティ情報を追加する
左側のメニューから **[Security Info]** を選択し、**[+ Add method]** します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/589bc793-1b64-f176-3254-0771f18b6dfa.png)

## 3.追加するメソッドから　**Security Key** を選択します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/abe68a4a-f032-2e46-27a7-a0175ca6735e.png)

なお、対応していないブラウザを利用しているとエラーがでます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/27fdb682-9401-07d8-72ac-1747582190fb.png)

## 4. 追加するキーの種類を選択します。
今回の Yubikey では USB device となります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/5a6bdec1-9e6b-ccc6-f298-f9582ab4c80c.png)
ウィザードが進むので、**Next** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/89fbd0b9-be0f-1e10-6bc7-f7f0319e9145.png)

なお、InPrivate モードだとここで失敗します。くっそ。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/2ed6e61c-67a4-f44f-5dcd-6277f973dc4f.png)

## 5. セキュリティーキーを挿入します。
ここで、キーを挿入するように要求されるので、挿入します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/c4b978b9-066f-51dc-5d0b-cc83c991e021.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/6f84e056-73d4-848a-b236-f9b3f3e2af7f.png)

そのあと、設定次第でPIN の入力と金属部分へのタッチが求められます。それらの確認に成功すると、Key に名前を付けて完了です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/3ad94cb6-23e4-f2d4-8395-229c9aa5548e.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/e671f171-4287-7e42-a5fc-5e9485ba0ca2.png)

#STEP3: Security Key でサインインする

対応しているブラウザでサインイン(例:[Office 365](https://portal.office.com))を行います。とりあえず、Edge と Firefox は対応しているようです。Chrome はまだのよう(2019/07/14 現在)
そして微妙に表示がブラウザによって違う

**Edge**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/3a6e44f3-e561-44ad-1845-adaef2fe7f50.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/792ec375-fe84-c7cc-38b1-5e76d7da66ae.png)

**FireFox**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/72a182a5-cd65-118c-8464-c1ddbbf16896.png)
**Chrome 版 Edge**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/3179efef-fc56-e7bc-0514-ccb9c0d7b12e.png)

PIN を入力して
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/007c9af9-9ff2-231e-edeb-618ed649df3c.png)

タッチして
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/1c3dbdab-55f7-83bf-486b-390806c4125c.png)

ログインユーザーを選択します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/f021457a-a887-73a5-84f2-a8ee84123bde.png)


# 無事サインイン完了!
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/277597/fe6d5124-e495-5fdc-19aa-76644f4401a9.png)

以上で、テナントでの FIDOキー有効化とブラウザサインインまでは完了です。改めて Windows 10 のサインインも別途作成予定
作成しました。(2019/07/15)
[Azure AD で FIDO キーでサインインする2 (WIndows 10 設定～デスクトップ サインイン)](https://qiita.com/murasamelabo/items/8a1bd6f04d71e550c6cf)